使用LINQ to sql和HtmlEncode

Question

我正在使用linq-to-sql來加載和保存數據到數據庫。由於大部分數據保存或負載是用戶輸入並避免保存原始數據的所有可能的風險，我決定的HTMLEncode的input.Here是我做什麼

1. 編碼彙總保存之前輸入到數據庫。
2. 解碼輸入以便能夠處理原始數據。
3. 重新編碼輸入以顯示給用戶。

問題是我不得不創建另一個業務對象來將我從數據庫中獲得的數據轉換爲用戶輸入的實際原始數據，因此呈現我的linq業務對象有些無用。

我做錯了什麼？如果我正在使用ling到sql，是否真的需要將數據轉換爲數據庫？

Answer 1

聽起來你應該將原始數據存儲在數據庫中，然後在將數據顯示給用戶之前始終進行編碼。當您使用LINQ to SQL時，您不必擔心SQL注入，因爲它在幕後使用參數化查詢。

Answer 2

只需將原始HTML存儲到數據庫中，並在公開顯示時使用HTMLEncode（）（或者更好，Microsoft的反跨站點腳本庫的HTMLEncode（）方法）。

http://www.microsoft.com/downloads/details.aspx?FamilyId=051ee83c-5ccf-48ed-8463-02f56a6bfc09&displaylang=en